E-08857-2020

1/5  Procedimiento Nº: E/08857/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada con fecha 22 de junio de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra COUCHSURFING INTERNATIONAL INC. (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: Imposibilidad del reclamante de acceder a su cuenta en https://www.couchsurfing.com/ si previamente no se realiza un pago para contribuir al sostenimiento de la entidad. Aparece una información de que ya no es gratuito debido al impacto del Covid 19. El ejercicio de determinados derechos sólo es posible si se accede a la cuenta, con lo que si no se realiza el pago no hay forma de ejercitarlos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/05740/2020, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se recibió ninguna contestación. TERCERO: Con fecha 27 de octubre de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ La Política de privacidad de https://about.couchsurfing.com/about/terms-of-use/ indica que la dirección de la entidad es: Couchsurfing International, Inc. Attn: Departamento Legal 548 Market St PMB 86600 San Francisco, California 94104-5401 EE. UU.; correo electrónico a support@couchsurfing.com ~ Con fecha 16 de diciembre de 2020, se ha requerido, por correo electrónico, a la a las direcciones support@couchsurfing.com; privacy@couchsurfing.com, para que facilitase información respecto a los aspectos que recoge la reclamación. ~ Con fecha 16 de diciembre de 2020 se recibe acuse de recibo por parte de la entidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 ~ Con fecha 23 de diciembre se recibe respuesta de la entidad indicando que los detalles sobre cómo los usuarios pueden solicitar acceso a sus datos en este artículo del Centro de ayuda: https://support.couchsurfing.org/hc/en-us/articles/360045738353-Download-your-data Además, brindan opciones para que los miembros desactiven (oculten sus perfiles) y soliciten eliminaciones permanentes de su cuenta y datos: https://support.couchsurfing.org/hc/en-us/articles/200640880-How-can-I-Hide-orDelete-my-profilehttps://support.couchsurfing.org/hc/en-us/articles/360045256994-Privacy-FAQ-sv Antes de mayo de 2020, tenían las mismas opciones disponibles tanto a través del sitio como a través de nuestros canales de soporte. El sitio ahora es una plataforma de pago; sin embargo, estas opciones están disponibles para todos los usuarios sin costo alguno. No cobran ni exigen a los usuarios que paguen por estas opciones de privacidad. Se comprueba que en https://support.couchsurfing.org/hc/enus/articles/360045738353-Download-your-data hay instrucciones detalladas sobre cómo descargar los datos y que el enlace https://support.couchsurfing.org/hc/enus/articles/200640880-How-can-I-Hide-or-Delete-my-profilecontiene explicación detallada sobre como borrar los datos de un usuario. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II Las presentes Actuaciones de Investigación tienen como finalidad determinar si el reclamado, cumplió la normativa de protección de datos en lo referido al derecho de información y a la posibilidad de acceder a las cuentas creadas de forma gratuita. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 El artículo 5 del RGPD relativo a los principios que han de regir el tratamiento de datos personales menciona entre ellos el de transparencia. El apartado 1 del precepto dispone: “Los datos personales serán:

1. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»)” Manifestación del principio de transparencia es la obligación que incumbe a los responsables del tratamiento de informar, en los términos del artículo 13 del RGPD, al titular de los datos personales cuando éstos se obtengan directamente del interesado: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
3. b)los datos de contacto del delegado de protección de datos, en su caso;
4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
11. d)el derecho a presentar una reclamación ante una autoridad de control;
12. e)si la comunicación de datos personales es un requisito legal o contractual, o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
13. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” El artículo 5.1.
14. a)del RGPD enuncia el principio de «licitud, lealtad y transparencia», principio en el que incide el Considerando 39: “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. […]” Por su parte, el Considerando 60 vincula el deber de información con el principio de transparencia, al establecer que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les deben informar si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran […]”. En este orden, el artículo 12.1 del RGPD regula las condiciones para asegurar su eficaz materialización y el artículo 13 concreta qué información debe facilitarse cuando los datos se obtengan del interesado. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Tras solicitar información al reclamado, ha respondido indicando que, antes de mayo de 2020, tenían las mismas opciones disponibles tanto a través del sitio como a través de los canales de soporte. Actualmente, el sitio es una plataforma de pago, pero las opciones para acceder a los datos o cancelarlos están disponibles para todos los usuarios sin costo alguno. No cobran ni exigen a los usuarios que paguen por las opciones de privacidad. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es